DDoS 防护服务报价单怎么看：比价之前必须写清的七件事

简短回答

一份 DDoS 防护报价，只有写清七件事才有可比性：覆盖哪几层流量、缓解是常驻还是告警后才切换、缓解时间承诺的起始与结束事件是什么、容量与超量如何计费、源站如何避免被直接攻击、攻击进行中您能找到谁、事后能拿到什么。同一个平台，不同服务商报出的价格可以差很多，原因是他们覆盖的问题范围不同。把这七件事拿到书面确认之后再比价；只给一个带宽数字的报价，按不完整报价对待。

这篇文章写给谁

写给博彩平台、加密货币交易所或金融科技公司的基础设施负责人、CISO 或采购负责人——手里拿着两三份长得很像的 DDoS 防护方案。本文讲的是怎么读报价单，不是替您选厂商。亚洲运营商的典型处境是：平台在菲律宾或柬埔寨的机房，CDN 用的是国际大厂，赛事开盘和行情剧烈波动时段是攻击高峰，而真正能在凌晨三点动手改规则的人，往往不在同一个时区。报价单上的每一行，都要放到这个处境里读。

要找的七行

报价单上的行	要问什么	为什么它决定价格与结果
覆盖的层	只吸收网络层/传输层洪水，还是也包含应用层（L7）过滤？	应用层攻击模仿真实用户，容量型过滤器对它毫无反应。
常驻还是按需	流量是一直经过清洗，还是检测到攻击后才切过去？	按需意味着切换延迟，以及必须有人或有规则去触发它。
缓解时钟	从哪个事件起算，到哪个事件结束？	没有起止点的数字不是承诺。
容量与超量	容量有没有上限？攻击超过上限时谁付钱？	最糟糕那一天的成本，才是真正要算的成本。
源站暴露	真实服务器地址怎么避免被直接攻击？	攻击者打得到源站，边缘防护就被绕过了。
谁来接	攻击进行中能找到谁、通过什么渠道、有没有权限改规则？	自助、只开工单、专人响应，是三种不同的服务。
报告	攻击后给什么？有没有复盘？	没有复盘，下一次攻击面对的还是同一套配置。

第 1 行：覆盖哪几层

报价单写着“DDoS 防护”，可能只是指在网络边缘吸收洪水流量。应用层攻击——登录接口洪水、出纳/提款端点滥用、对赔率或行情接口的高频抓取——看起来都像正常请求，需要贴合您流量特征的规则。要问：是否包含 L7 过滤，规则谁写谁维护，是否覆盖 API 端点还是只覆盖网站页面。国际大厂的默认套餐和一套调优过的配置，是两种不同的产品。

第 2 行：常驻还是按需

常驻（always-on）意味着您的流量任何时候都经过清洗。按需（on-demand）意味着检测到攻击后——由告警或由您——再把流量切过去。按需可以便宜一些，代价是切换延迟和“必须有人去做这个动作”的依赖。要问：什么触发切换、谁能触发、切换过程中您的用户看到什么。对一个停机就等于丢注单、丢成交的平台，从第一个请求到第一条规则之间的这段时间，就是损失。

第 3 行：缓解时钟量的是什么

一个“缓解时间”承诺有起点也有终点。起点可能是第一股恶意流量、一条检测告警，或者您提交的工单；终点可能是第一条规则生效、部分缓解，或者服务完全恢复正常。两个事件都要书面写明，并问清承诺没达到时的补救条款。安全运营合同同样适用这条纪律，可以对照阅读英文原文的姊妹篇：托管 SOC 的 SLA 时钟从哪里开始。

第 4 行：容量与超量

服务商描述容量的方式各不相同：一个明确的上限、一个全网总量，或者“不限量”。去读合理使用条款和除外条款。“不限量”往往只是说攻击流量不向您计费，并不是说任何条件下任何攻击都被吸收。要问：有没有上限；攻击超过上限时您的流量会怎样；有没有超量费或强制升级费。然后再问：服务商为您这类客户缓解过的最大一次攻击是多大——要文档，不要宣传语。

第 5 行：把源站藏好

边缘缓解只保护经过它的流量。如果您的源站地址已被知晓，或者本身就能从公网访问，攻击者可以直接打源站。报价单或方案设计应当写明：源站如何只接受来自防护服务商的流量，旧 IP 和旧 DNS 记录怎么处理，谁负责核查。这是架构问题而不是产品功能，所以最容易被报价单漏掉——而东南亚机房里那台换过几次托管商、历史 IP 满天飞的源站，恰恰是最常见的直打目标。

第 6 行：攻击进行中谁来接

自助（self-serve）是您的团队自己改规则；工单制是服务商团队排队响应；专人响应是有指定的人在您的账户上操作。这是三种不同价位的不同服务，有些厂商要先买付费支持计划，攻击中才有人接电话。要问：控制台卡住时哪个渠道还能用，谁可以不经电话确认就改您的规则，您这边的联系人是谁。您自己团队演练过的处置手册也是答案的一部分，英文原文中的 DDoS 就绪评估讲的就是这件事。

第 7 行：报告与复盘

攻击过后，您需要知道打来的是什么、拦住了什么、漏过了什么、改了什么。报价单应写明是否提供报告、多久提供、是否包含与工程师的复盘。这是您下一次配置调整的依据；对持牌运营商来说，也是牌照方或审计方可能索要的证据材料。

报价单里的红旗

• 容量只给一个数字，不说明对应哪一层、哪种攻击类型。
• 写“无上限”或“不限量”，却不提供合理使用条款。
• 缓解时间没有起始事件、结束事件和补救条款。
• 完全不提应用层过滤、API 端点或规则调优。
• 没有一句话说明源站如何被保护。
• 支持写成“24/7”，却不说明包含在您账户上动手，还是只是一个工单队列。

局限

这是一份阅读指南，不是价格表，也不推荐任何服务商。文中不含市场价格、不含时长承诺、不含 AnySec 的自有数据，也不对厂商排名。条款因服务商、套餐和日期而异，请以您正在考虑的每一个选项的现行合同与服务说明为准。合同不能替代测试：您的配置是否扛得住，由一次经授权的压力测试证明，而不是由报价单证明。

下一步

把手里的方案逐一对照上面的表格，把缺的行作为问题发回给服务商。如果需要有人把这些答案变成架构、服务商配置和处置手册，可以就 DDoS 防护策略获取固定报价，告诉我们您用的服务商、关键端点，以及您这边谁负责接电话。DDoS 防护策略页面说明一个项目如何进行，DDoS 压力测试页面说明如何验证结果。

延伸阅读

• DDoS 压力测试服务商怎么选：授权测试与“打压服务”的区别——用同样的读报价方法看测试服务。
• 托管 SOC 服务报价单必须写清的事——SLA 时钟与响应权限的同一套纪律。
• English original: DDoS Protection Services — What the Quote Must Say